[發(fā)明專利]一種基于虛擬化的文檔集中管控系統(tǒng)

在審

• 申請?zhí)枺?/td>: 201710351556.9
• 申請日: 2017-05-18
• 公開（公告）號: CN107196932A
• 公開（公告）日: 2017-09-22
• 發(fā)明（設計）人: 曾淑娟;姚金利;周益周;郭敏;李紅
• 申請（專利權）人: 北京計算機技術及應用研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32;H04L29/08
• 代理公司: 中國兵器工業(yè)集團公司專利中心11011
• 代理人: 張然

1.一種基于虛擬化的文檔集中管控系統(tǒng)，其特征在于，包括：

數(shù)據(jù)存儲區(qū)、服務器端以及客戶端，服務器端包括：虛擬操作系統(tǒng)以及安全管控服務器軟件；

數(shù)據(jù)存儲區(qū)用于存儲用戶的文件；服務器端用于管控數(shù)據(jù)存儲區(qū)存儲的用戶的文件；安全管控服務器軟件用于對客戶端的用戶進行身份認證，并再身份認證通過后，建立客戶端與服務器端的安全傳輸通道，服務器端，數(shù)據(jù)存儲區(qū)的數(shù)據(jù)處理后的虛擬桌面，傳輸?shù)娇蛻舳松希┯脩舨榭础?/p>

2.如權利要求1所述的基于虛擬化的文檔集中管控系統(tǒng)，其特征在于，安全管控服務器軟件包括：

身份認證模塊用于通過雙向認證的方式對客戶端和服務器端進行有效身份鑒別；

遠程傳輸模塊，用于為用戶提供加密的安全傳輸通道；

訪問控制模塊，用于確定用戶通過虛擬操作系統(tǒng)能夠訪問的數(shù)據(jù)區(qū)域，對用戶的讀取文檔和存儲文檔的指令進行解析驗證；

安全管理模塊，用于對用戶管理、策略權限配置和身份認證數(shù)據(jù)的存儲，并進行日志管理和審計；

I/O處理模塊，用于為用戶提供透明化的驅動級文件加解密服務，并實時監(jiān)控虛擬操作系統(tǒng)I/O處理接口，將接口操作和日志，發(fā)送給安全管理模塊。

3.如權利要求1所述的基于虛擬化的文檔集中管控系統(tǒng)，其特征在于，安全管控服務器軟件使用的身份認證方式是：USBKey、用戶名、PIN碼以及CA數(shù)字證書結合的方式。

4.如權利要求1所述的基于虛擬化的文檔集中管控系統(tǒng)，其特征在于，安全傳輸通道包括兩個方向的數(shù)據(jù)傳輸，第一個方向客戶端到服務器端的數(shù)據(jù)傳輸，傳輸?shù)氖擎I盤和鼠標的邏輯操作；第二個方向是服務器端到客戶端的數(shù)據(jù)傳輸，傳輸?shù)氖翘摂M桌面的顯示內容，服務器端定時采集虛擬桌面的顯示內容，并將顯示內容以圖像編碼的方式，傳輸?shù)娇蛻舳耍偻ㄟ^圖像解碼，顯示在客戶端上。

5.如權利要求2所述的基于虛擬化的文檔集中管控系統(tǒng)，其特征在于，身份認證和安全傳輸通道建立完成后，客戶端會使用USBKey中的私鑰對用戶ID和用戶在數(shù)據(jù)存儲區(qū)中數(shù)據(jù)存儲的物理邏輯盤符生成一個簽名值，通過安全傳輸通道將簽名值發(fā)送給服務器端，這個簽名值附加在后續(xù)所有訪問數(shù)據(jù)存儲區(qū)的指令上，訪問控制模塊收到上層應用傳過來的數(shù)據(jù)訪問指令，驗證簽名值和數(shù)據(jù)訪問指令上的用戶ID信息是否相同，若相同，就將數(shù)據(jù)訪問指令傳輸給數(shù)據(jù)存儲區(qū)，數(shù)據(jù)存儲區(qū)根據(jù)指令上的IP地址、盤符號以及文件存儲地址信息尋找數(shù)據(jù)，并將密文數(shù)據(jù)返回給虛擬操作系統(tǒng)。

6.如權利要求5所述的基于虛擬化的文檔集中管控系統(tǒng)，其特征在于，數(shù)據(jù)訪問指令結構包括：用戶ID、指令類型、指令、操作系統(tǒng)IP地址、數(shù)據(jù)存儲區(qū)的爐里邏輯盤符、文件地址以及簽名值。

7.如權利要求5所述的基于虛擬化的文檔集中管控系統(tǒng)，其特征在于，I/O處理模塊通過驅動級的透明加解密將收到的密文數(shù)據(jù)解密，密文數(shù)據(jù)的加解密的算法和密鑰全網(wǎng)統(tǒng)一，I/O處理模塊將解密后的數(shù)據(jù)顯示在虛擬桌面上，虛擬操作系統(tǒng)將虛擬桌面通過安全傳輸通道推送到客戶端。

8.如權利要求7所述的基于虛擬化的文檔集中管控系統(tǒng)，其特征在于，I/O處理模塊的數(shù)據(jù)處理過程中，I/O處理模塊將數(shù)據(jù)讀寫操作記錄，發(fā)送給安全管理模塊，安全管理模塊根據(jù)重要操作生成日志并存儲。